Gestern haben wir berichtet, wie mühselig es ist, mit Bundestags-Abgeordneten verschlüsselte und/oder signierte E‑Mails auszutauschen. Konkreter Anlass war, dass dutzende S/MIME-Zertifikate von Abgeordneten abgelaufen waren, bis wir die Bundestags-IT darauf hingewiesen haben. Immerhin wird der Standard S/MIME Bundestags-intern genutzt. Seit Snowden ist etwa jede fünfte Mail zwischen Bundestags-Abgeordneten und ihren Mitarbeiter/innen signiert und/oder verschlüsselt.
OpenPGP: Offener Standard, Offene Implementierung
Wir nutzen lieber den alternativen Standard OpenPGP (nicht PGP!), untereinander und auch mit Bundestagsabgeordneten. Bereits in der FAZ-Story von letztem Jahr hieß es:
Auch der netzpolitische Sprecher der Grünen, Konstantin von Notz, verschlüsselt seine E‑Mails regelmäßig. Vor Jahren hat er sich in der IuK-Kommission, einem Selbstverwaltungsgremium des Bundestages, für das PGP-Verfahren eingesetzt. Die Frage, welche Programme in den Bundestagsbüros laufen, sei „eigentlich ein ewiges Thema“, so Notz. Erreicht haben die Grünen, dass eine Verschlüsselungssoftware auf PGP-Basis seit 2011 zwar nicht zur Standardausstattung gehört, aber immerhin angefordert werden kann. Zuständig ist die technische Abteilung der Bundestagsverwaltung, die die Hoheit über mehr als fünftausend Computer in den Büros des Bundestages hat.
IuK-Kommission: Gremium des Ältestenrates
Bekannt wurde die IuK-Kommission vor allem durch die Bundestags-interne Vorratsdatenspeicherung in der Edathy-Affäre. Darüber hinaus widmet sich dieses Gremium des Ältestenrates laut Eigenauskunft „aller zur Wahrung der Informations- und Beteiligungsrechte des Personalrates relevanten Fragen des Einsatzes von [Informations- und Kommunikationstechnik]“. Dazu erstellt sie unter anderem eine Liste an Software, die Abgeordnete und ihre Mitarbeiter/innen verwenden dürfen. Wenig überraschend stehen auf dieser Liste vor allem proprietäre Programme großer Firmen wie Microsoft.
Will man andere oder zusätzliche Software verwenden, kann diese nicht ohne weiteres installiert werden. Das kann nur die Bundestags-IT. Stattdessen muss die gewünschte Software in der IuK-Kommission beantragt, von der Bundestags-IT geprüft, vom BSI geprüft und schließlich von der IuK-Kommission auf die Software-Whitelist gesetzt werden. Erst dann kann man bei der Bundestags-IT beantragen, die neu erlaubte Software auf seinen Rechnern installiert zu bekommen. Das klingt nicht nur bürokratisch, das ist auch in der Praxis mühsam und langwierig.
Thunderbird: Der kurze Sommer der Freien Software
Konstantin von Notz hat laut Eigenauskunft in der letzten Legislaturperiode ganze 15 Monate dafür gekämpft, neben Microsoft Outlook auch mit Mozilla Thunderbird und einem OpenPGP-Plugin mailen zu können. Tatsächlich konnten wir dann eine ganze Zeit lang mit Abgeordneten und Mitarbeiter/innen per OpenPGP-signierten und-verschlüsselten Mails kommunizieren. Also, mit den Personen, die sich die zusätzliche Software installieren lassen haben.
Aber irgendwann am Ende der letzten Legislaturperiode ist Thunderbird und andere Freie Software wieder von der Liste runter geflogen, womit beinahe ausschließlich Microsoft-Produkte übrig blieben. Zum Start der neuen Legislatur gab es daher für alle wieder nur noch Outlook – ohne Verschlüsselung. Kurz nach den Enthüllungen über die Totalüberwachung der Digitalen Welt hat der Deutsche Bundestag damit die E‑Mail-Verschlüsselung mit OpenPGP wieder abgeschafft.
Microsoft: Wenn schon Outlook, dann OpenPGP
Einen offiziellen Grund dafür konnten wir leider bisher nicht erfahren. Gewöhnlich gut informierte Kreise berichten uns, dass es die üblichen Ausreden sind, wie sie auch in München angewendet werden: „zu viel Aufwand, zu viel Schulung, zu viel Support….“. Und die meisten Abgeordneten in der Kommission sind, um das mal vorsichtig auszudrücken, nicht gerade Informatiker.
Mehrere Abgeordnete verschiedener Fraktionen haben sich daraufhin erneut beschwert. Wenn schon Outlook, dann will man wenigstens damit auch OpenPGP nutzen. Immerhin gibt es verschiedene Plugins dafür, zum Beispiel Gpg4win. Das wurde (mehrere Monate lang) geprüft – und abgelehnt. Es sei nicht kompatibel mit dem hausinternen System „Parlakom“ (Parlamentarische Kommunikation) und führe zu Abstürzen. Eine Anpassung durch den Anbieter in Kooperation mit dem BSI wäre durchaus möglich, müsste aber formal ausgeschrieben und finanziert werden.
Passierschein A 38: Die Wege der Bürokratie
Also neue Beschwerde, neuer Anlauf, neuer Passierschein A 38: Diesmal mit gpg4o. Wieder ein paar Monate später: Es geht! Für nur leicht über 150 Euro pro Rechner. Für alle Mitarbeiter/innen und Arbeitsplätze in einem Büro also leicht tausend Euro pro Abgeordnetem. Falls eine nennenswerte Anzahl von Abgeordneten das tatsächlich annähme, was eigentlich zu erhoffen wäre, würde das viel teurer werden als eine einmalige Anpassung von Gpg4win. Nach weiteren Verhandlungen kann jetzt jede Fraktion drei Büros benennen, denen gpg4o kostenlos zur Verfügung gestellt wird, bis Gpg4win angepasst ist (was noch eine ganze Zeit dauern wird).
Aber immerhin können jetzt, fast ein Jahr nach der Wahl, ein Dutzend Bundestags-Büros wieder kostenlos OpenPGP verwenden. Und mit zweien haben wir das seit letzter Woche auch schon getan!
Digitale Agenda: Verschlüsselungs-Standort Nr. 1?
Doch auch damit gibt es noch Probleme. So dürfen die Büros aus dem Bundestags-Netz beispielsweise nicht auf die Schlüssel-Server zugreifen. Der Grund: irgendwas mit Sicherheit. Die Schlüsselübermittlung muss also händisch passieren, was den empfohlenen Best Practices widerspricht.
All dies zeigt: Es ist noch ein weiter Weg bis zum „Verschlüsselungs-Standort Nr. 1 auf der Welt“, wie ihn die Bundesregierung in der Digitalen Agenda versprochen hat.